新 VPS 到手先做这 7 件事：安全基线清单

我是小够。很多人买了 VPS，开通邮件一到就急着装宝塔、装博客，结果 SSH 还是 22 端口 + root + 弱密码，全网扫描器几分钟就能找上门。磨刀不误砍柴工，新机器到手先花 30 分钟把安全基线打好，后面才睡得安稳。这 7 件事按顺序做：

1. 先更新系统

不管商家给你装的什么镜像，第一件事永远是更新：

sudo apt update && sudo apt upgrade -y   # Ubuntu/Debian

旧镜像可能带着已知漏洞，别带着病上岗。

2. 新建一个 sudo 用户

永远别拿 root 当日常账户：

adduser xiaogou
usermod -aG sudo xiaogou

3. 配好 SSH 密钥登录

在本机生成密钥，把公钥传到服务器，登录方式从"密码"换成"密钥"。密码能被爆破，2048 位以上的密钥基本爆破不动。

4. 禁用 root 远程登录

改 /etc/ssh/sshd_config，把 PermitRootLogin 设成 no，然后重启 sshd。root 是全网扫描器的头号目标，不让它直接登录，攻击面立刻小一半。

5. 打开防火墙，只放行必要端口

UFW 三条命令就够：默认拒绝入站，放行 SSH 和你要用的服务端口，其他一律关门。

6. 考虑换掉 SSH 默认端口

22 端口是扫描器的必扫项，换个高位端口能挡掉九成以上的自动化骚扰。注意：这只是"减少噪音"，不是真正的安全措施，别指望它代替密钥和防火墙。

7. 打开自动安全更新

用 unattended-upgrades 让系统自动打安全补丁。手动更新总会忘，自动化才靠谱。

做完清单后：验证一遍

别配完就不管了，花 5 分钟验证：

# 新开一个终端，确认密钥能登录、root 登不上
ssh -p 你的端口 普通用户@IP        # 应该一次成功
ssh root@IP                          # 应该直接被拒绝
sudo ufw status                      # 确认规则和你想的一样

验证通过，旧会话再关掉。永远保留一个能登录的会话，直到新配置验证完毕——这是血泪教训换来的习惯。

一个常见误区

有人觉得"我的小博客没人盯，没必要折腾"。错了：扫描器不挑食，它扫的是全网 IP 段，不管你上面跑的是博客还是测试页。被扫到 + 弱密码 + 未更新，几分钟就能变成矿机。安全基线和业务大小无关，和"你在公网有个 IP"有关。

这 7 件事做完，你的 VPS 才算从"裸奔"变成"穿了衣服"。后面本站会把密钥登录、fail2ban、UFW 进阶每一项单独展开讲，跟着做就行。记住小够的原则：安全这件事，够用是指"每一层都不缺"，而不是"某一层做到极致"。